Le 19 octobre 2026, le certificat « Microsoft Windows Production PCA 2011 » a expiré. C'est le dernier des certificats Secure Boot émis par Microsoft en 2011 à arriver à échéance, après ceux de juin. Quelques jours plus tard, Kaspersky publiait l'analyse de BlackX, un bootkit UEFI utilisé dans une campagne d'espionnage, capable de contourner Secure Boot sur des Windows entièrement à jour. Les deux nouvelles sont liées, et elles appellent la même vérification.
Si vous gérez des PC Windows, quelques postes ou un parc entier, cet article explique ce que change cette expiration (moins qu'on le craint, plus qu'on le pense), ce que fait BlackX et comment vérifier vos machines.
Secure Boot en deux phrases
Au démarrage, le firmware UEFI ne lance que des programmes signés par un certificat présent dans sa base de confiance, appelée DB. Une seconde base, DBX, liste ce qui est interdit même s'il est signé : c'est par elle qu'on révoque un composant vulnérable.
Depuis 2011, presque tous les PC du marché font confiance aux mêmes certificats Microsoft, inscrits en usine. Ce sont eux qui arrivent à expiration en 2026.
Les certificats qui expirent en 2026
- Microsoft Corporation KEK CA 2011, expiré le 24 juin 2026, remplacé par Microsoft Corporation KEK 2K CA 2023. Il autorise les mises à jour des bases DB et DBX.
- Microsoft UEFI CA 2011, expiré le 27 juin 2026, remplacé par Microsoft UEFI CA 2023 pour les chargeurs de démarrage tiers (dont le shim des distributions Linux) et par Microsoft Option ROM UEFI CA 2023 pour les micrologiciels des cartes d'extension.
- Microsoft Windows Production PCA 2011, expiré le 19 octobre 2026, remplacé par Windows UEFI CA 2023. C'est lui qui signe le gestionnaire de démarrage de Windows.
Ce que change l'expiration : moins qu'on le craint
Microsoft le confirme : un PC qui n'a pas reçu les certificats 2023 continue de démarrer, Windows fonctionne et les mises à jour habituelles continuent de s'installer. En pratique, le firmware ne tient pas compte de la date d'expiration des signatures au démarrage.
Ce qui s'arrête, ce sont les nouvelles protections du démarrage : mises à jour du gestionnaire de démarrage, des bases DB et DBX, révocations et correctifs contre les failles de démarrage. Elles sont désormais signées avec les certificats 2023, qu'un PC resté en 2011 ne reconnaît pas. Un tel PC est figé : il garde les protections qu'il avait et n'en recevra plus de nouvelles.
Ce qu'elle ne change pas : plus qu'on le pense
C'est ce point que BlackX rend concret. Une expiration n'est pas une révocation. Les anciens gestionnaires de démarrage vulnérables, signés avec le certificat 2011, restent acceptés par le firmware après le 19 octobre, exactement comme avant. Kaspersky le dit explicitement : l'expiration n'empêche pas ces binaires de se charger tant que le certificat n'a pas été ajouté à la liste de blocage.
Autrement dit, un attaquant qui apporte avec lui un ancien gestionnaire de démarrage Windows, authentique, signé mais vulnérable, peut toujours le faire exécuter. C'est exactement ce que fait BlackX.
BlackX, le bootkit qui passe sur un Windows à jour
Selon l'analyse de Kaspersky, qui l'attribue avec une confiance moyenne au groupe APT41, BlackX a servi contre des organisations diplomatiques d'Asie centrale (Tadjikistan, Ouzbékistan, Turkménistan). Son fonctionnement :
- il exploite Baton Drop (CVE-2022-21894), une faille ancienne d'un gestionnaire de démarrage Windows signé, déjà utilisée par le bootkit BlackLotus à partir de 2022 ;
- il inscrit ses propres clés (Machine Owner Keys) et peut alors charger n'importe quel programme EFI malgré Secure Boot ;
- il charge ensuite un pilote noyau malveillant qui neutralise des outils de sécurité, puis des charges utiles d'espionnage, dont un cheval de Troie piloté via des services de stockage en ligne.
Le point important : toutes les victimes avaient un Windows entièrement à jour. Le correctif de Baton Drop existe depuis longtemps, mais sa partie décisive, la révocation du certificat Windows Production PCA 2011 qui empêche de charger les anciens gestionnaires vulnérables, ne s'applique pas automatiquement. Il faut la déclencher. Kaspersky y voit un défaut du processus de mise à jour : rares sont les administrateurs qui font une action manuelle après une mise à jour de sécurité.
Pour relativiser : installer BlackX demande des droits administrateur ou un accès physique à la machine. Ce n'est pas une attaque à distance. C'est une technique de persistance, celle qu'un attaquant déjà entré utilise pour rester, invisible des antivirus qui démarrent après lui, même après une réinstallation du système.
Vérifier un PC Windows
Deux questions : Secure Boot est-il actif, et le certificat 2023 est-il dans la base DB ? Dans un PowerShell lancé en administrateur :
# Secure Boot actif ? (True attendu)
Confirm-SecureBootUEFI
# Le certificat Windows UEFI CA 2023 est-il dans la base DB ? (True attendu)
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'Si la seconde commande renvoie False, le PC est resté sur les certificats de 2011. Sur la plupart des machines Windows 10 et 11 maintenues, la mise à jour arrive par Windows Update. Sur certaines, elle exige d'abord une mise à jour du BIOS/UEFI du constructeur ; Dell et Lenovo, notamment, ont publié des guides par modèle. Un PC trop ancien pour recevoir ce BIOS restera sur 2011 : c'est un argument de plus pour le remplacer.
Côté serveurs Linux en UEFI, mokutil --sb-state indique si Secure Boot est actif. Le shim des distributions dépend du certificat tiers Microsoft UEFI CA 2011, pas du certificat Windows : la révocation décrite plus bas ne le concerne pas. Gardez simplement le shim et le noyau à jour pour recevoir les versions signées par le certificat 2023. Sur la plupart des VPS, Secure Boot n'est pas activé et le sujet relève de l'hébergeur.
Appliquer la révocation sans se bloquer soi-même
Recevoir les certificats 2023 ne suffit pas à se protéger de BlackX : il faut aussi révoquer l'ancien certificat, pour que le firmware refuse les gestionnaires de démarrage vulnérables. Microsoft décrit la procédure dans l'article KB5025885 (« How to manage the Windows Boot Manager revocations for Secure Boot changes associated with CVE-2023-24932 ») et dans son guide de mise à jour des certificats Secure Boot destiné aux professionnels. Elle passe par des réglages de registre et une tâche planifiée, sur plusieurs redémarrages.
C'est une opération à préparer, pas à lancer un vendredi soir sur tout un parc :
- Elle ne se défait pas. Selon Microsoft, une révocation inscrite dans le firmware y reste tant que Secure Boot est actif, même si l'on reformate le disque.
- Elle invalide les anciens supports de démarrage. Clés USB d'installation, images WinPE, images de déploiement réseau ou de restauration signées avec le certificat 2011 ne démarreront plus. Il faut d'abord les recréer avec des fichiers signés par le certificat 2023.
- Elle peut déclencher BitLocker. Une modification des bases Secure Boot peut provoquer une demande de clé de récupération au démarrage suivant. Vérifiez que chaque clé est sauvegardée et accessible avant de commencer.
- Elle se teste. Commencez par quelques machines représentatives de chaque modèle, vérifiez qu'elles redémarrent et que les supports de secours fonctionnent, puis étendez.
Pour un poste isolé, la question est simple : la machine porte-t-elle des données ou des accès qui justifient de se protéger d'un attaquant capable d'obtenir les droits administrateur ? Pour un poste de direction, de comptabilité ou d'administration informatique, la réponse est oui.
Ce que j'en retiens
- Le certificat Microsoft Windows Production PCA 2011 a expiré le 19 octobre 2026 ; les PC sans certificats 2023 démarrent toujours, mais ne reçoivent plus de nouvelles protections du démarrage.
- Une expiration n'est pas une révocation : les anciens gestionnaires de démarrage vulnérables restent acceptés, et BlackX s'en sert sur des Windows à jour.
- Une commande PowerShell suffit pour savoir si un PC a reçu le certificat Windows UEFI CA 2023.
- La protection complète passe par la révocation décrite dans KB5025885, à préparer : supports de démarrage refaits, clés BitLocker sauvegardées, test sur quelques machines.
- Comme le montre aussi la faille UEFI CVE-2026-97631, le démarrage fait partie du périmètre de maintenance, pas seulement le système.
Vous avez un parc de PC ou de serveurs et vous ne savez pas lesquels sont passés aux certificats 2023, ni comment appliquer la révocation sans bloquer personne ? Je peux faire le point avec vous, préparer les supports de démarrage et déployer par étapes. Décrivez-moi votre installation, je vous réponds rapidement.
Sources : Microsoft, « Windows Secure Boot certificate expiration and CA updates » et KB5025885 (support.microsoft.com) ; analyse de BlackX par Kaspersky, reprise par BleepingComputer et The Hacker News ; guide Dell « How To Check Secure Boot Certificates ». Article à jour au 29 octobre 2026 ; les recommandations de Microsoft et de votre constructeur priment.